CVE-2025-64328

Giao diện quản trị FreePBX dễ bị tấn công bởi lệnh truyền động sau khi xác thực

FreePBX Endpoint Manager là một mô-đun để quản lý các điểm kết nối điện thoại trong hệ thống FreePBX. Trong các phiên bản từ 17.0.2.36 và trên trước 17.0.3, module filestore trong giao diện quản trị là dễ bị tấn công bởi lệnh truyền động sau khi xác thực bởi một người dùng đã xác thực qua hàm testconnection -> check_ssh_connect(). Một kẻ tấn công có thể tận dụng lỗ hổng này để thu được quyền truy cập từ xa vào hệ thống với tư cách người dùng asterisk. Lỗ hổng này đã được sửa chữa trong phiên bản 17.0.3.

Bạn tra cứu quá nhanh — thử lại sau 44 giây.

CVSS (NVD)

8.6 · HIGH

Loại lỗi (CWE)

CWE-78

EPSS (FIRST)

84.62% khả năng bị khai thác trong 30 ngày

CISA KEV

Sangoma FreePBX — Lỗ hổng truyền lệnh từ xa của hệ điều hành FreePBX OS của Sangoma. Đưa vào 2026-02-03, hạn khắc phục 2026-02-24. Áp dụng các biện pháp khắc phục theo hướng dẫn nhà sản xuất, tuân theo hướng dẫn BOD 22-01 cho dịch vụ đám mây hoặc ngừng sử dụng sản phẩm nếu biện pháp khắc phục không có sẵn.